Лицензирование и сертификация в области ЗИ (ОПОИБ, лекция 6.1)

1.

Организационное и правовое
обеспечение информационной
безопасности
Доцент кафедры БИТ
к.т.н.
Струков Владимир Ильич

2.

Вопросы к разделу 5.2
1. Назовите основные и вспомогательные технические средства утечки
информации.
2. Какие технические средства используются для защиты от СТС
негласного получения информации?
3. Ответственность за нарушения конституционного права на личную
тайну (тайна переписки телефонных переговоров и др. сообщений).
4. Ответственность за незаконное использование СТС.
5. Кто занимается вопросами лицензирования и контроля в области СТС
получения информации?
6. Какие виды деятельности подлежат лицензированию в области СТС?
7. Какими документами регулируется деятельность, связанная с
испольованием радиоэлектронных средств и СТС?
2

3.

6. Лицензирование и сертификация в области ЗИ
6.1. Правовая основа системы лицензирования и сертификации в РФ
Для обеспечения защиты ГТ и СТ (в важных для страны
областях) действует Государственная система
защиты
информации в РФ (ГСЗИ), которая включает:
-совокупность органов (ФСБ, ФСТЭК, СБ), сил и средств,
осуществляющих деятельность в области защиты
информации (ЗИ);
-систему лицензирования деятельности в области ЗИ;
-систему сертификации средств ЗИ;
-систему подготовки и переподготовки специалистов в
области ЗИ.
3

4.

Лицензирование
- это процесс передачи или получения в отношении
физических или юридических лиц прав на
проведение
определенных работ.
Получить право или разрешение на определенную
деятельность может не каждый субъект, а только
отвечающий определенным критериям в
соответствии
с правилами лицензирования.
Лицензия
- документ, дающий право на осуществление указанного
вида деятельности в течении определенного
времени.
4

5.

Перечень видов деятельности в области ЗИ, на которые
выдаются лицензии, определен Постановлением
Правительства РФ - “О лицензировании отдельных
видов деятельности” от 24.12.94 №1418 к ним, в
частности, относится
разработка, производство, реализация и сервисное
обслуживание:
-шифровальных средств;
-защищенных систем телекоммуникаций;
-программных средств;
-специальных технических средств ЗИ;
а также подготовка и переподготовка кадров.
5

6.

Сертификация
- это подтверждение соответствия продукции
или услуг установленным требованиям или
стандартам.
Сертификат
- документ, подтверждающий соответствие
средства ЗИ требованиям по безопасности
информации.
6

7.

Законодательной и нормативной базой лицензирования и
сертификации в области ЗИ являются
Законы РФ:
-“О государственной тайне” от 21.07.93 №5485-1;
-“О техническом регулировании” от 27 декабря 2002 г. N 184-ФЗ
-“О лицензировании отдельных видов деятельности”, от 8.08 2001г.
№128 (ред. от 11.03.2003г. №32);
-“О защите прав потребителей” от 07.02.92 №2300-1;
Постановления Правительства РФ:
-“О лицензировании отдельных видов деятельности” от 24 12 94
№1418;
-“О лицензировании деятельности предприятий...” от 15.04.95 №333;
-“О сертификации средств ЗИ” от 26.06.95 №608.
-“О лицензировании… от 27.05.2002 №348.
-“О лицензировании… от 30.04.2002 №290, (ред. №64 от 6.02.2003).
А также Указы Президента РФ, и ряд других подзаконных актов.
7

8.

6.2. Лицензирование деятельности по защите ГТ
Общие нормы, устанавливающие порядок организации и
осуществления этой деятельности, содержатся в статье 27 Закона
"О государственной тайне".
Основные положений данной статьи:
- лицензия выдается только на основании результатов
специальной экспертизы (проверки готовности организации
к работе со сведениями, составляющими ГТ);
- в структуре организации должно быть подразделение по
защите ГТ и специально подготовленные сотрудники;
- организация должна иметь сертифицированные средства ЗИ;
- необходима государственная аттестация руководителей
организации, ответственных за защиту государственных
секретов.
8

9.

Постановлением Правительства РФ №333 утверждено
Положение о лицензировании деятельности
предприятий, в котором установлено, что:
-лицензия разрешает осуществление конкретного вида
деятельности в течение установленного срока на
всей
территории Российской Федерации, а также в
учреждениях Российской Федерации, находящихся
за
границей;
-органами, уполномоченными на ведение лицензионной
деятельности, являются:
9

10.

по допуску предприятий к проведению работ, связанных
с использованием сведений, составляющих ГТ
- ФСБ, СВР(за рубежом);
на право проведения работ, связанных с созданием
средств защиты информации
- ФСТЭК, ФСБ в пределах их компетенции;
на право осуществления мероприятий и (или) оказания
услуг в области защиты ГТ
– ФСБ и ее территориальные органы, ФСТЭК, СВР (в
пределах их компетенции).
10

11.

Лицензирование деятельности предприятий ФСБ,
МО, Федеральной пограничной службы Российской
Федерации, СВР и ФСТЭК по допуску к проведению
работ, связанных с использованием сведений,
составляющих ГТ,
осуществляется руководителями министерств и ведомств
РФ, которым подчинены указанные предприятия.
Срок действия лицензии устанавливается в зависимости
от специфики вида деятельности, но не может быть
менее трех и более пяти лет.
11

12.

Основанием для отказа в выдаче лицензии
является:
-наличие в представленных документах
недостоверной или искаженной
информации;
-отрицательное заключение экспертизы;
-отрицательное заключение по результатам
государственной аттестации
руководителя
предприятия.
12

13.

Специальные экспертизы предприятий
выполняются по следующим направлениям:
-режим секретности;
-противодействие иностранной технической
разведке;
-защита информации от утечки по техническим
каналам.
Экспертные комиссии формируются при ФСБ,
ФСТЭК и их органах на местах и
аттестационных центрах.
13

14.

Принципы лицензирования:
1. Лицензирование в области защиты ГТ является
обязательным.
2. Деятельность в области ЗИ лиц, не прошедших
лицензирование, запрещена (с применением
соответствующих статей ГК и УК к нарушителям).
3. Лицензии на право деятельности в области защиты ГТ
выдаются только юридическим лицам независимо от
организационно - правовой формы (физические лица не
в состоянии удовлетворить указанным требованиям).
4. Лицензии выдаются только предприятиям,
зарегистрированным на территории РФ на основании
специальной экспертизы заявителя.
14

15.

Для получения лицензии предприятие обязано предъявить
следующий перечень документов.
К заявлению на получение лицензии необходимо приложить
следующие документы:
-копия свидетельства о государственной регистрации предприятия;
-копии учредительных документов, заверенных нотариусом;
-копии документов на право собственности или аренды имущества,
необходимого для ведения заявленной деятельности;
-справка налогового органа о постановке на учет;
-представление органов государственной власти РФ с
ходатайством о выдаче лицензии;
-документ, подтверждающий оплату рассмотрения заявления.
Проведение экспертизы осуществляется экспертными
комиссиями Лицензионного центра либо аттестационными
центрами.
15

16.

Например, коммерческому банку, претендующему на получение
лицензии на эксплуатацию шифровальных средств для
защиты
конфиденциальной информации предъявляются
требования по:
●наличию и составу необходимых аппаратно-программных
средств и помещений;
● размещению, охране и специальному оборудованию
помещений, в которых находятся средства
криптографической
ЗИ;
● обеспечению режима и порядка доступа к средствам
криптографической ЗИ;
● обеспечению необходимой технической и эксплуатационной
документацией;
● уровню квалификации и подготовленности специалистов в
области защиты и эксплуатации АС;
● режиму эксплуатации и хранения средств
криптографической ЗИ.

17.

Система лицензирования обеспечивает в
отношении АС выполнение 3 основных
требований к защищаемой информации:
-доступность;
-целостность;
-конфиденциальность.
17

18.

Государственная аттестация руководителей
ответственных за защиту ГТ
Основная цель государственной аттестации –
повысить компетентность руководителей в
части
обеспечения сохранности сведений,
составляющих ГТ.
Документом, по организации государственной
аттестации руководителей является
Инструкция
о порядке проведения государственной
аттестации руководителей предприятий,
учреждений и организаций, ответственных за
защиту сведений, составляющих ГТ,
утвержденная Председателем ГТК 17.10.95 г.

19.

Государственное аттестование проводится методом
собеседования аттестационной комиссии с руководителем
предприятия.
К аттестуемому предъявляются следующие требования.
Должен знать:
-законодательные акты РФ по вопросам защиты ГТ;
-нормативные документы, утверждаемые Правительством РФ, по
обеспечению защиты сведений, составляющих ГТ;
-нормативно-методические документы по режиму секретности,
противодействию иностранным техническим разведкам и защите
информации от утечки по техническим каналам, утверждаемые ФСБ и
ГТК;
-перечень продукции предприятия, подлежащей защите от разведок,
основные охраняемые сведения о предприятии и выпускаемой
продукции;
-возможные каналы утечки информации по всему технологическому
циклу разработки, изготовления и испытаний продукции предприятия;
-деловые и моральные качества сотрудников структурного
подразделения предприятия по защите ГТ.
19

20.

Должен уметь организовывать:
-разработку мероприятий по защите сведений о
предприятии и выпускаемой продукции,
составляющих
ГТ, и оценку их достаточности;
-проведение анализа возможностей разведки по
добыванию сведений, составляющих ГТ;
-аттестование рабочих мест по всему технологическому
циклу разработки, изготовления и испытания
продукции;
-комплексный контроль выполнения принимаемых мер по
защите сведений, составляющих ГТ.

21.

Быть ознакомленным:
-с государственной системой лицензирования деятельности
предприятий, учреждений и организаций по
проведению
работ, связанных с использованием
сведений,
составляющих ГТ, созданием средств защиты
информации, а также с осуществлением мероприятий
и
(или) оказанием услуг по защите ГТ;
-с возможностями иностранных разведок по добыванию
сведений, составляющих ГТ;
-с методиками контроля выполнения норм противодействия
иностранным техническим разведкам.
21

22.

6.3. Сертификация средств защиты информации
Национальный орган по сертификации определяется Правительством РФ.
В настоящее время эти функции выполняет Федеральное агентсво по
техническому регулированию и метрологии (ФАТРиМ).
В 1994 г. Были утверждены “Правила по проведению сертификации в РФ”,
в соответствии с которыми целями сертификации являются:
● создание условий для деятельности предприятий и предпринимателей
на товарном рынке РФ и участия в международной торговли;
● содействие потребителям в компетентном выборе продукции;
● содействие экспорту и повышение конкурентоспособности продукции;
● защита потребителя от недобросовестности изготовителя (продавца,
исполнителя);
● контроль безопасности продукции для окружающей среды, жизни и
имущества;
● подтверждение показателей качества продукции, заявленных
изготовителями.
22

23.

Организация сертификации средств ЗИ
возлагается на ФСТЭК, ФСБ и МО в соответствии с
функциями, возложенными на них законодательством
РФ.
Сертификация осуществляется на основании требований
государственных стандартов РФ и иных нормативных
документов, утверждаемых Правительством РФ.
Положение о сертификации средств ЗИ
утверждено постановлением Правительства РФ от
25.06.95 г. № 608 (в ред. ПП РФ N 509 от 23.04.96) и
зарегистрировано Госстандартом России в
Государственном реестре 20 марта 1995 г. (Свидетельство
№ Р0СС RU. 0001. 01БИ00).

24.

Обязательной сертификации (в соответствии с этим
Положением) подлежат средства, в том числе
иностранного производства, предназначенные для
защиты
информации, составляющей ГТ, и другой
информации с
ограниченным доступом, а также
средства,
использующиеся в управлении экологически опасными
объектами.
В остальных случаях сертификация носит добровольный
характер (добровольная сертификация) и
осуществляется
по инициативе разработчика,
изготовителя или
потребителя средства защиты информации.

25.

Принципы сертификации:
1.Сертификация изделий, обеспечивающих защиту ГТ
является обязательной.
2.Обязательность использования криптографических
алгоритмов, являющихся стандартами.
3.Принятие на сертификацию изделий только от заявителей,
имеющих лицензию.
В соответствии с вышеназванными документами,
государственным организациям и предприятиям
запрещено использование в информационных
системах шифровальных средств, не имеющих
сертификата.
Кроме этого в области информационных технологий
действуют системы добровольной сертификации
банковских технологий (МЕКАС) и средств связи.
25

26.

Порядок сертификации:
1.В Центральный орган по сертификации подается
заявление и полный комплект технической
документации.
2.Центральный орган назначает испытательный центр
(лабораторию) для проведения испытания.
3.Испытания проводятся на основании хозяйственного
договора между заявителем и испытательным
центром.
4.Сертификация (экспертиза материалов и подготовка
документов для выдачи) осуществляется
Центральным
органом.
Сертификат выдается на срок до 5 лет.

27.

Контрольные вопросы
1. Укажите основные элементы организационной основы системы
обеспечения информационной безопасности РФ.
2. Какие виды деятельности в области защиты информации
подлежат лицензированию?
3. Порядок лицензирования, срок действия лицензии.
4. При каких организациях созданы системы сертификации в РФ?
5. Порядок и требования при осуществлении сертификации
средств защиты информации.
6. В каких случаях сертификация носит добровольный характер?
27